網絡環境下以騙取方式盜竊QQ賬號的定性

方孔強　胡公樞

摘要：行為人受上家雇傭，制作釣魚網站，盜取QQ賬號和密碼后返還上家非法獲利的，其手段行為構成非法獲取計算機信息系統數據罪，其目的行為構成侵犯公民個人信息罪，屬于牽連犯，應當認定為侵犯公民個人信息罪。

關鍵詞：盜竊 非法獲取計算機信息系統數據罪 侵犯公民個人信息罪

[基本案情]犯罪嫌疑人楊某某受其上家雇傭，制作釣魚網站，盜取QQ賬號和密碼，從2015年7月至2016年6月，共盜取數量達100余萬個。盜取QQ賬號和密碼的具體方式為：上家先給楊某某幾十個已經盜取的QQ賬號和密碼，楊某某通過QQ群發器，登陸這些QQ賬號，向這些QQ賬號的好友發送“騰訊公司十周年送手機流量500M”的釣魚網站鏈接，這個釣魚網站是楊某某租用服務器，編寫代碼制作的，被害人點擊這個釣魚網站，網頁上會跳出要求輸入QQ賬號和密碼的表單，一旦被害人輸入之后，這些QQ賬號和密碼的信息會被自動保存到該釣魚網站的服務器，楊某某再將服務器上盜取的QQ賬號和密碼，下載下來發給上家，按量獲取報酬，同時利用這些盜取的QQ賬號和密碼，繼續通過QQ群發器，反復盜取QQ賬號和密碼。截至案發，楊某某非法獲利40余萬元。其中2016年有兩個月的時間，楊某某的上家向楊某某支付寶轉賬61萬元，除去雙方之間其他解密、網頁推廣等費用，盜取QQ賬號的報酬達30余萬元。

一、司法實務分歧

關于本案的處理，司法實踐中產生了兩種不同意見：一種觀點認為，楊某某的行為屬于非法獲取計算機信息系統數據罪中的“采用其他技術手段，獲取該計算機信息系統中存儲、處理或者傳輸的數據”，應該認定為非法獲取計算機信息系統數據罪。另一種觀點認為，楊某某的行為屬于侵犯公民個人信息罪中的“竊取或者以其他方法非法獲取公民個人信息”，應認定為侵犯公民個人信息罪。

筆者認為，本案同時侵犯了非法獲取計算機信息系統數據罪和侵犯公民個人信息罪，屬于牽連犯，應定侵犯公民個人信息罪。

二、非法獲取計算機信息系統數據罪條文解讀

非法獲取計算機信息系統數據罪規定在《刑法》第285條第2款：“違反國家規定，侵入前款規定以外的計算機信息系統或者采用其他技術手段，獲取該計算機信息系統中存儲、處理或者傳輸的數據……處……”。認為本案應定“非法獲取計算機信息系統數據罪”的一個主要理由源自《中華人民共和國刑法解讀》（以下簡稱《解讀》），根據《解讀》，非法獲取計算機信息系統數據罪是指非法獲取他人計算機信息系統中存儲、處理或者傳輸的數據的行為。“獲取”包括從他人計算機信息系統中竊取，如直接侵入他人計算機信息系統，秘密復制他人存儲的信息；也包括騙取，如設立假冒網站，在受騙者登陸時，要求用戶輸入賬號、秘密等信息。“存儲”、“處理”和“傳輸”這三種形態，涵括了計算機信息系統中所有的數據形態，不論行為人非法獲取處于哪種形態的數據，均符合法律的規定。[1]

但筆者認為該《解讀》具有一定的誤導性。

第一，關于“獲取”的誤導性解讀。《刑法》第285條第2款規定，“侵入前款規定以外的計算機信息系統或者采用其他技術手段，獲取該計算機信息系統中存儲、處理或者傳輸的數據”，其中“獲取”并非一個容易發生歧義或誤導性的概念。但《解讀》將“獲取”一詞進行重點解釋，解讀為“竊取”和“騙取”兩種行為方式，并列舉了“竊取”和“騙取”的具體行為類型。這就與條文所規定的“侵入”或“其他技術手段”的行為方式發生混淆，使人產生理解上的困惑。雖仔細分析，應當是“侵入”、“其他技術手段”中可以包含“竊取”和“騙取”的方式，但也容易使人理解為“侵入”、“其他技術手段”與“竊取”和“騙取”之間為一種并列的關系，抑或“竊取”、“騙取”是一種“其他技術手段”，甚至有可能將“竊取”、“騙取”的作用對象與本罪的犯罪構成發生混淆。

第二，關于獲取的計算機信息系統中“處理”、“傳輸”數據的誤導性解讀。按照條文規定，獲取的數據具有方式上的特定性，僅指“侵入”或“采用其他技術手段”獲取該計算機信息系統中的數據。本罪的條文是《刑法修正案（七）》增加的內容。按照條文的立法背景，之所以新增本罪條文，是因為“公共信息安全和網絡監察部門提出，當前，我國計算機網絡安全形勢十分嚴峻。”“非法侵入他人計算機系統或者利用其它技術侵入計算機系統的主要目的之一，是非法竊取他人在計算機系統存儲、處理和傳輸的數據”。[2]按照《解讀》，“獲取（竊取、騙取）”、“處理”、“傳輸”的數據，均為本罪犯罪罪狀的描述。這樣理解，未對“侵入”等行為進行強調，導致網絡環境下“獲取”處理、傳輸的數據均有被誤讀為本罪的可能。

三、本案中的手段行為構成非法獲取計算機信息系統數據罪

本案中的情形可以分為兩個行為，一個行為是楊某某非法登陸他人的QQ賬號，向這些QQ賬號里面的好友發送詐騙信息，另一個行為是楊某某利用詐騙信息，騙取QQ賬號，賣給上家。前者是手段行為，后者是目的行為。

按照非法獲取計算機信息系統數據罪的犯罪構成，楊某某的手段行為已構成該罪。非法獲取計算機信息系統罪的犯罪構成又包含兩個行為，一是“侵入”計算機信息系統，二是“獲取”該系統中的數據。

本案中，楊某某利用上家提供的盜竊的QQ賬號、密碼登陸，應評價為一種“侵入”計算機信息系統的行為。早期的“侵入”計算機信息系統的行為表現為“侵入”大型計算機信息系統（服務器）數據庫，獲取數據庫內存儲的信息，造成極其惡劣的影響和嚴重的危害。如1994年英國電信公司一員工“侵入”該公司的內部數據庫，獲得了政府機構重要部門的電話號碼和地址。[3]“侵入”的方式有很多，有非法用戶侵入，有合法用戶越權訪問，或者采取破解身份認證信息，或者采取盜竊身份認證信息，或者強行突破安全防火墻等，但其本質是“未經計算機信息系統控制人或者所有者授權的擅入行為”。為此，行為人通過釣魚網站等方式騙取他人的身份認證信息，并運用這些身份認證信息登錄到計算機信息系統，從形式上看，行為人是獲得信息系統的許可進行登錄，但實質上也是一種未經授權的“侵入”行為。[4]本案中，楊某某利用上家提供的盜竊的QQ賬號、密碼登錄QQ軟件系統的行為，就是一種形式上獲得計算機信息系統授權的合法登錄，實質上是一種“侵入”計算機信息系統的行為。

有觀點可能會認為，QQ軟件的服務提供商本身對該軟件QQ賬號、密碼被盜用的行為不負辨識是否為真實的QQ賬號使用人的責任。換言之，該軟件的服務提供商對于只要持有正確QQ賬號、密碼的人都允許登錄，而不會視為自身的QQ軟件計算機信息系統被“侵入”。對于QQ賬號的注冊人而言，更不會視作自身的計算機信息系統被“侵入”，僅僅是認為自身的QQ賬號、密碼被盜。事實上，本案中的QQ賬號、密碼被盜，亦并非盜取者“侵入”注冊用戶的電腦進行盜取。對于該觀點，有反駁者曾舉一例，撬門進入他人住宅是非法“侵入”，盜取鑰匙后，用鑰匙開門進入他人住宅的，當然也是非法“侵入”。[5]筆者認為，本罪處于《刑法》分則第六章第一節“擾亂公共秩序罪”中，其首要的保護法益是“公共秩序”，因未凸顯本罪中“被害人”的構成要素，才會有觀點認為本罪與盜竊罪不同，獲得賬號、密碼進行登錄的行為不視為“侵入”計算機信息系統。這里應當對“侵入”作適當的擴大解釋，包括未破壞計算機信息系統的網絡安全防火墻，冒用他人的身份信息進行登錄的行為。

還有觀點可能會認為按照最高人民法院、最高人民檢察院《關于辦理危害計算機信息系統安全刑事案件應用法律若干問題的解釋》第11條，“‘計算機信息系統，是指具備自動處理數據功能的系統，包括計算機、網絡設備、通信設備、自動化控制設備等”，而楊某某“侵入”的是某一特定QQ用戶的QQ賬號，不能被評價為計算機信息系統。這種觀點是未具體地理解QQ軟件的計算機信息系統。其是一個網絡時時信息交互的軟件，軟件分為客戶端和服務器端，在客戶端，用戶下載QQ軟件安裝之后，進行注冊，獲得服務器端的許可，就可以進行不同QQ用戶之間的時時信息交互，在服務器端，為每一個QQ用戶保存著一套該用戶的信息，客戶端的QQ用戶進行時時信息交互的數據都要經過服務器。筆者認為，這樣由客戶端、服務器端軟件組成的具有時時信息交互功能的軟件，是司法解釋第11條所稱的“具備自動處理數據功能”的計算機信息系統。

本案中，楊某某利用盜竊的QQ賬號、密碼“侵入”計算機信息系統（QQ軟件信息系統），向該QQ賬號內的好友發送釣魚網站鏈接，屬于“獲取”該QQ賬號內“存儲的好友數據”，楊某某還直接“利用”了這些數據。每一個QQ賬號的好友就是一份信息系統數據，以特定的編碼和方式存儲在服務器上的該QQ賬號項下，既可以直接侵入服務器獲取，也可以按照楊某某的方式，以盜取QQ賬號、密碼登錄后獲取。因此，楊某某的行為屬于“獲取”計算機信息系統數據。

綜上，本案中楊某某的手段行為符合非法獲取計算機信息系統數據罪的犯罪構成。

四、本案中的目的行為構成侵犯公民個人信息罪

楊某某受其上家委托，非法盜取他人QQ賬號、密碼，但其并不清楚這些被盜取的QQ賬號、密碼的不法用途，從楊某某的角度來說，其侵入計算機信息系統獲取該系統內的QQ好友數據，并利用了這些QQ好友數據，其目的是通過向這些QQ好友發送詐騙性質的釣魚網站，以盜取QQ賬號、密碼，并提供給其上家，獲取報酬。簡言之，本案中，楊某某的目的行為是盜取QQ賬號、密碼，賣給其上家。

侵犯公民個人信息罪規定在《刑法》第253條之一第1款：“違反國家有關規定，向他人出售或者提供公民個人信息，情節嚴重的，處……”該條第3款：“竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰。”該罪的主體是一般主體，主觀方面為故意。該罪的客觀方面表現為違反規定，向他人出售或提供公民個人信息，這些信息的來源無論是竊取或其他方法取得，不影響本罪的認定。由于我國尚未制定《信息保護法》，何為“公民個人信息”，存在一定的爭議。

有觀點認為，公民個人信息，“即指以任何形式存在的、與公民個人存在關聯并可以識別特定個人的信息。其外延十分廣泛，幾乎有關個人的一切信息、數據或者情況都可以被認定為個人信息”。[6]該觀點的前半部分稱公民個人信息為“可以識別特定個人的信息”，而后半部分又稱只要“有關個人的一切信息”等都可以被認定為個人信息，存在一定的矛盾，因為后者不一定屬于前者，如個人的一份未包含姓名、身份信息的體檢報告，屬于“有關個人的信息”，但該信息不能“識別特定個人”。盡管如此，一般的觀點認為，公民個人信息是“能夠識別公民個人身份等情況的信息”。[7]筆者對此不能完全認同，而更支持“有關個人的一切信息”的公民個人信息觀。但兩者并非不可調和。只要對前者中的“識別”一詞擴大理解，對后者作限縮解釋，就能基本將兩者相等同。

2012年12月頒布的全國人民代表大會常務委員會《關于加強網絡信息保護的決定》第1條規定：“國家保護能夠識別公民個人身份和涉及公民個人隱私的電子信息。”持有的是一種“身份識別和隱私權利”的公民個人身份觀，結合該法的具體內容，特別是其中提到的網絡服務提供者收集、使用“公民個人電子信息必須嚴格保密，不得泄露、篡改、毀損，不得出售或者非法向他人提供”等規定，可以反觀該法所持的公民個人身份觀，是一個比“識別特定個人”更廣的概念，應是認為“識別特定個人”的公民個人信息觀尚不足以保護公民個人信息，為此，增加了“公民個人隱私”的概念。概言之，應當從網絡服務者等收集公民個人信息的角度來反向檢驗何為“公民個人信息”更合適。公民的QQ賬號是當前網絡上注冊的必填項目之一，也是很多網站、論壇、微博的登陸賬號，特別是隨著QQ軟件服務器提供商附加在QQ賬號上的功能越來越多，QQ賬號綁定手機號碼、微信號碼、蘋果手機識別碼、個人空間等功能越來越多，大多數QQ賬號已基本具備了“身份識別和隱私權利”的屬性，應屬于網絡服務者收集的公民個人信息。

2013年4月頒布的最高人民法院、最高人民檢察院、公安部《關于依法懲處侵害公民個人信息犯罪活動的通知》第1條提到：“當前，一些犯罪分子為追逐不法利益，利用互聯網大肆倒賣公民個人信息，已逐漸形成龐大‘地下產業和黑色利益鏈。買賣的公民個人信息包括戶籍、銀行、電信開戶資料等，涉及公民個人生活的方方面面。”該條描述的正是本案中的情形，楊某某受其上家雇傭，大肆盜竊QQ賬號，并予以倒賣，形成了地下產業和黑色鏈條，其買賣的QQ賬號，顯然屬于該條中提到的公民個人信息。易言之，互聯網上具有倒賣價值的個人信息，都可以是“公民個人信息”。

綜上，盡管一般理論認為侵犯公民個人信息罪中的公民個人信息應具有“識別特定個人”的屬性，但是相關法律已將公民個人信息作了適當擴大的規定，特別是針對網絡上侵犯公民個人信息的情況，已將公民個人信息的屬性規定為“網絡服務提供者所收集的公民個人信息”、“互聯網上大肆倒賣的公民個人信息”，而當今社會公民個人的QQ賬號、密碼屬于這類信息。因此，本案中楊某某所倒賣的公民QQ賬號、密碼，屬于公民個人信息。楊某某違反國家有關規定，向他人出售或者提供公民個人信息，其目的行為構成侵犯公民個人信息罪。

五、關于本案的定性

首先，楊某某的行為不屬于想象競合犯的情形。想象競合犯是指一個行為觸犯數個罪名的情況。本案中，楊某某入侵QQ軟件計算機信息系統，獲取QQ用戶的好友信息，再向這些QQ好友發送釣魚網站鏈接，欺騙這些QQ好友進行點擊，注冊信息，騙取這些QQ好友的QQ賬號、密碼，最后提供給其上家，獲取報酬。評價楊某某的行為是一個行為還是兩個行為，如果可以分為兩個行為，這兩個行為之間有無重合，是評價楊某某的行為是否屬于想象競合犯的關鍵。從描述的事實來看，楊某某至少實施了三個行為：一是侵入QQ軟件計算機信息系統，并獲取QQ好友信息；二是向這些QQ好友發送釣魚網站，實施詐騙；三是將騙取的QQ賬號、密碼提供給上家，獲取報酬。而從案件的客觀事實來看，楊某某利用QQ群發軟件，批量登陸QQ賬號，向QQ好友批量發送釣魚網站鏈接，楊某某兩個行為著手的時間點幾乎是同時的，第二個行為包含了第一個行為，第二個行為多了一個準備釣魚網站的預備行為和一個獲取“量”的（已經盜取的QQ賬號、密碼）收尾行為。據楊某某供述：“（上家）給我一些‘量，我就將這些‘量導入QQ群發軟件，向他們好友發送釣魚網站，如果收到‘量了，再將收到的‘量導入QQ群發軟件，再次向他們好友發送，就這樣反復進行。”根據《刑法》第253條之一第3款“侵犯公民個人信息罪”的相關規定，“竊取或者以其他方法非法獲取公民個人信息的，依照第一款的規定處罰”，為此，楊某某的第二個行為和第三個行為是其“侵犯公民個人信息罪”的一個行為，該行為與楊某某“非法獲取計算機信息系統數據罪”的行為，在第二個行為部分發生重疊，但是“侵犯公民個人信息罪”行為的主要部分是上述第三個行為，按照想象競合犯“主要部分重合說”的觀點，[8]楊某某所觸犯的兩個罪的行為的主要部分未重合，因此，不屬于想象競合犯的情形。（見下圖）

其次，楊某某的行為從數罪上來看，具有兩個故意，兩個行為，觸犯兩個罪名，但是，楊某某的行為與數罪又有區別。一般來說，數罪的兩個行為具有不同的主觀目的（這個目的不一定是犯罪構成上的目的），及兩個缺乏聯系的受到侵害的結果。反觀楊某某的行為，其非法侵入計算機信息系統，獲取數據，騙取QQ賬號、密碼，予以轉賣，行為之間連貫性較強，犯罪的主觀目的明確，即竊取QQ賬號、密碼獲取錢財，受到侵害的結果之間具有關聯性，且楊某某非法侵入QQ軟件計算機信息系統，獲取QQ好友的計算機信息數據，并非提供給他人，而是為其下一步的犯罪行為所利用。因此，楊某某的行為與數罪的情況不同。

楊某某的行為應屬于牽連犯的情形，“牽連犯，是指犯罪的手段行為或結果行為，與目的行為或原因行為分別觸犯不同罪名的情況”，[9]非法獲取計算機信息系統數據是其手段行為，侵犯公民個人信息是其目的行為。牽連犯屬于科刑上的一罪，從一重罪論處。之所以如此，是因為兩個行為之間具有關聯性。如騙購外匯罪的規定即是如此，全國人民代表大會常務委員會《關于懲治騙購外匯、逃匯和非法買賣外匯犯罪的決定》規定：“偽造、變造海關簽發的報關單、進口證明、外匯管理部門核準件等憑證和單據，并用于騙購外匯的，依照前款的規定從重處罰。”“偽造、變造海關簽發的報關單等”屬于手段行為，“騙購外匯”屬于目的行為，兩者具有牽連性，刑法按目的行為從重論處。楊某某的手段行為和目的行為之間不僅具有主觀上的關聯性，還具有客觀上的關聯性，并且這種關聯性具有某種程度的類型性，因此應按牽連犯，以目的行為所觸犯的罪名從重處罰。

注釋：

[1]王愛立：《中華人民共和國刑法解讀》，中國法制出版社2015年版，第674頁。

[2]黃太云：《<刑法修正案（七）>解讀》，載《人民檢察》2009年第6期。

[3]趙秉志、于志剛：《論非法侵入計算機信息系統罪》，載《法學研究》1999年第2期。

[4]李遐楨、侯春平：《論非法獲取計算機信息系統數據罪的認定——以法解釋學為視角》，載《河北法學》2014年第5期。

[5]同[4]。

[6]高銘暄、馬克昌：《刑法學》，北京大學出版社、高等教育出版社2016年版，第482頁。

[7]陳興良：《規范刑法學》，中國人民大學出版社2013年版，第805頁。

[8]張明楷：《刑法學》，法律出版社2011年版，第434頁。

[9]同[8]，第433-439頁。